Backup und DSGVO: Was Unternehmen beachten sollten

Warum Backups unter die DSGVO fallen

Die Datenschutz-Grundverordnung gilt für jede Verarbeitung personenbezogener Daten. Verarbeitung im Sinne von Artikel 4 Nummer 2 umfasst unter anderem das Speichern, das Vorhalten und das Löschen. Eine Sicherungskopie enthält denselben Datenbestand wie das Quellsystem, also Kundenstammdaten, Personalakten, E-Mails, Verträge oder Protokolle. Damit ist auch das Backup eine Verarbeitung, für die ein Verantwortlicher einzustehen hat.

Das hat zwei Konsequenzen, die gelegentlich übersehen werden. Erstens gelten die Grundsätze der Verarbeitung, zum Beispiel Zweckbindung, Integrität und Vertraulichkeit, auch für die Sicherungsbestände. Zweitens sind Backups kein datenschutzrechtlich neutraler Raum: Die Kopie eines Datensatzes bleibt ein personenbezogener Datensatz, auch wenn sie selten angesehen wird. Wer ein Backup betreibt, sollte es deshalb in sein Verarbeitungsverzeichnis, sein Löschkonzept und sein Sicherheitskonzept einbeziehen.

Was Artikel 32 DSGVO zur Sicherung verlangt

Die zentrale Vorschrift ist Artikel 32. Verantwortliche und Auftragsverarbeiter haben danach geeignete technische und organisatorische Maßnahmen zu treffen, um ein dem Risiko angemessenes Schutzniveau zu gewährleisten. Zu berücksichtigen sind der Stand der Technik, die Implementierungskosten, Art, Umfang, Umstände und Zwecke der Verarbeitung sowie die Eintrittswahrscheinlichkeit und Schwere des Risikos für die Rechte und Freiheiten natürlicher Personen. Die Vorschrift verlangt also keine Maximalausstattung, sondern eine begründete, risikoorientierte Auswahl.

Für Datensicherung sind insbesondere zwei der in Absatz 1 beispielhaft genannten Maßnahmen einschlägig. Zum einen die Fähigkeit, die Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit der Systeme und Dienste auf Dauer sicherzustellen. Zum anderen die Fähigkeit, die Verfügbarkeit der personenbezogenen Daten und den Zugang zu ihnen bei einem physischen oder technischen Zwischenfall rasch wiederherzustellen. Ergänzt wird das durch ein Verfahren zur regelmäßigen Überprüfung, Bewertung und Evaluierung der Wirksamkeit der Maßnahmen.

Bemerkenswert ist die Wortwahl: Verlangt wird nicht, dass Daten gesichert werden, sondern dass sie rasch wiederhergestellt werden können. Ein Backup, das nie getestet wurde, belegt diese Fähigkeit nicht. Was „rasch“ im konkreten Fall bedeutet, schreibt die Verordnung nicht vor; es ergibt sich aus dem Risiko und den Wiederherstellungszielen, die Sie festlegen, siehe RPO und RTO einfach erklärt.

Wiederherstellbarkeit als Nachweisfrage

Die DSGVO kennt eine Rechenschaftspflicht. Nach Artikel 5 Absatz 2 muss der Verantwortliche die Einhaltung der Grundsätze nachweisen können. Übertragen auf Datensicherung heißt das: Es genügt nicht, ein Backup-System zu betreiben; Sie sollten belegen können, dass die Wiederherstellung funktioniert und dass die Maßnahmen regelmäßig überprüft werden.

In der Praxis lässt sich das mit wenig Aufwand organisieren. Hilfreich sind dokumentierte Wiederherstellungstests mit Datum, Umfang und Ergebnis, ein festgelegter Prüfrhythmus und die Festlegung, wer die Ergebnisse bewertet. Wie ein solcher Test aufgebaut sein kann, beschreibt Restore-Test: So prüfen Sie Ihr Backup. Auch eine Validierung der Sicherungen kann ein Baustein sein, sie ersetzt aber den Test der tatsächlichen Wiederherstellung nicht.

Auftragsverarbeitung: Das Backup beim Dienstleister

Nutzen Sie einen Dienstleister für Ihre Sicherungen, etwa einen Cloud-Speicher oder einen Managed Service, verarbeitet dieser in der Regel personenbezogene Daten in Ihrem Auftrag. Dann liegt eine Auftragsverarbeitung nach Artikel 28 DSGVO vor, und es ist ein Vertrag oder ein anderes Rechtsinstrument erforderlich. Der Vertrag regelt unter anderem Gegenstand und Dauer der Verarbeitung, Art und Zweck, die Art der personenbezogenen Daten, die Kategorien betroffener Personen, die Weisungsbindung, die technischen und organisatorischen Maßnahmen und den Umgang mit Unterauftragsverarbeitern.

Ein Auftragsverarbeitungsvertrag (AVV) ist notwendig, aber keine vollständige datenschutzrechtliche Prüfung. Sie bleiben Verantwortlicher und müssen prüfen, ob die vereinbarten Maßnahmen zum Schutzbedarf Ihrer Daten passen. Dazu gehören Fragen wie: Welche Unterauftragsverarbeiter sind beteiligt? Wo werden die Daten gespeichert? Wer hat Zugriff? Auf welche Weise werden Daten nach Vertragsende gelöscht?

Speicherort und Drittlandbezug

Der Speicherort ist für viele Unternehmen ein wichtiges Kriterium. Liegen Daten im Europäischen Wirtschaftsraum, entfallen die besonderen Anforderungen des Kapitels V der DSGVO an die Übermittlung in Drittländer, soweit nicht auch andere Zugriffswege bestehen. Die Prüfung endet daher nicht bei der Frage, in welchem Rechenzentrum der Speicher steht. Ein Zugriff aus einem Drittland, etwa im Rahmen von Wartung, Support oder durch konzernverbundene Gesellschaften, kann je nach Konstellation ebenfalls rechtlich relevant sein.

Ein deutscher Speicherort ist damit ein sinnvoller Baustein, aber kein Ersatz für die Gesamtbetrachtung. Fragen Sie bei jedem Dienstleister nach dem Speicherort, den beteiligten Gesellschaften, deren Sitzen und den Zugriffsmöglichkeiten. Bei der Plattform finden Sie Angaben dazu auf der Seite Informationssicherheit; dort sind auch Gesellschaften mit Sitz außerhalb der EU genannt, deren Zugriffe und Drittlandbezug im Einzelfall zu prüfen sind.

Löschpflichten und Backups: ein Spannungsfeld

Die DSGVO kennt den Grundsatz der Speicherbegrenzung (Artikel 5 Absatz 1 Buchstabe e) und das Recht auf Löschung (Artikel 17). Gleichzeitig ist es technisch aufwendig oder nicht vorgesehen, einzelne Datensätze aus bestehenden Backups gezielt zu entfernen. Ein Backup bildet einen Zustand zu einem Zeitpunkt ab und ist darauf ausgelegt, unverändert zu bleiben.

Dieses Spannungsfeld lässt sich nicht durch eine technische Eigenschaft auflösen. Gängig ist ein organisatorischer Ansatz, der im Einzelfall rechtlich zu bewerten ist. Dazu gehören im Wesentlichen:

• Begrenzte Aufbewahrungsfristen für Sicherungsstände, die sich am Zweck der Sicherung orientieren und nicht dauerhaft gelten.
• Ein dokumentiertes Löschkonzept, das beschreibt, wie Löschanforderungen in Produktivsystemen und in Sicherungen behandelt werden.
• Ein Verfahren, das nach einer Wiederherstellung sicherstellt, dass zwischenzeitlich gelöschte Daten erneut gelöscht werden.
• Eine abgestimmte Haltung mit Ihrer oder Ihrem Datenschutzbeauftragten, wie lange Sicherungen als Verarbeitung zu bewerten sind.

Sperrfristen, Verschlüsselung und Zugriffsschutz

Sperrfristen, die Sicherungen für einen festen Zeitraum vor Änderung und Löschung schützen, sind ein wirksames Mittel gegen Manipulation und Ransomware (siehe Immutable Backup und Sperrfristen). Sie wirken aber auch gegen gewollte Löschung, bis die Frist abgelaufen ist. Wählen Sie die Dauer daher bewusst und halten Sie sie im Löschkonzept fest. Der Schutz vor Löschung ist kein Selbstzweck, sondern ein Abwägungsergebnis.

Artikel 32 Absatz 1 nennt als mögliche Maßnahme die Verschlüsselung personenbezogener Daten. Bei Backups bedeutet das Verschlüsselung auf dem Übertragungsweg und im Speicher, gegebenenfalls zusätzlich auf Ebene des einzelnen Archivs. Ebenso wichtig sind Zugriffsrechte und der Schutz der Backup-Verwaltung: Wer Backups mit denselben Zugangsdaten verwaltet wie die Produktivsysteme, hat auch bei verschlüsselten Daten ein Risiko, wenn diese Zugangsdaten abhandenkommen. Zugriffe auf Sicherungen und Wiederherstellungen sollten nachvollziehbar protokolliert werden.

Backup ist kein Archiv: Aufbewahrungspflichten

Unternehmen unterliegen gesetzlichen Aufbewahrungspflichten, etwa nach Handels- und Steuerrecht. Diese Pflichten haben einen anderen Zweck als Datensicherung: Sie verlangen, dass bestimmte Unterlagen für einen Zeitraum in geeigneter Form verfügbar bleiben. Ein Backup dient der Wiederherstellung nach einem Ausfall; ein Archiv dient der dauerhaften, nachvollziehbaren Aufbewahrung. Die Unterscheidung vertieft der Artikel Backup oder Archivierung?

Daraus folgt: Wer Aufbewahrungspflichten erfüllen muss, sollte dies nicht allein über rotierende Backups tun, und wer Backups lange aufbewahrt, um Aufbewahrungspflichten zu bedienen, vermischt zwei Zwecke. Welche Fristen für welche Unterlagen gelten und wie sie umzusetzen sind, klären Sie im Einzelfall mit Fachleuten.

Ausfall, Verschlüsselung und Datenschutzverletzung

Die DSGVO behandelt nicht nur Offenlegung als Verletzung des Schutzes personenbezogener Daten. Nach Artikel 4 Nummer 12 umfasst der Begriff auch den Verlust und die Vernichtung von Daten. Ein Ransomware-Angriff, der Daten verschlüsselt, oder ein Defekt, der Daten unwiederbringlich zerstört, kann daher eine meldepflichtige Verletzung darstellen. Nach Artikel 33 ist eine Verletzung der zuständigen Aufsichtsbehörde grundsätzlich innerhalb von 72 Stunden zu melden, es sei denn, sie führt voraussichtlich nicht zu einem Risiko für die Rechte und Freiheiten natürlicher Personen.

Ein funktionierendes Backup kann in diesem Zusammenhang den Schaden begrenzen, weil die Verfügbarkeit rasch wiederhergestellt werden kann. Ob und wie gemeldet werden muss, ist dennoch eine Einzelfallprüfung. Planen Sie vorab, wer Vorfälle bewertet und meldet, und bereiten Sie diesen Ablauf gemeinsam mit der oder dem Datenschutzbeauftragten vor.

Was einzelne Eigenschaften nicht leisten

Technische Merkmale werden in Angeboten gern als Argument genutzt. Sie sind Bausteine, aber keine Antwort auf die Frage, ob die Anforderungen der DSGVO insgesamt erfüllt sind:

• Verschlüsselung schützt vor unbefugter Kenntnisnahme, ersetzt aber keine Regelung zu Zweck, Löschung und Zugriff.
• Ein Speicherort in Deutschland erleichtert die Einordnung, ersetzt aber nicht die Prüfung von Zugriffen, Unterauftragnehmern und Drittlandbezug.
• Ein Zertifikat, etwa nach ISO/IEC 27001, bestätigt ein Managementsystem für seinen genannten Geltungsbereich. Es ist keine Bescheinigung über datenschutzrechtliche Anforderungen und gilt nicht automatisch für andere Dienste oder Gesellschaften.
• Ein AVV regelt die Auftragsverarbeitung, ersetzt aber nicht Ihre eigene Prüfung als Verantwortlicher.

Wer verantwortet was? Rollen und Zuständigkeiten

Datenschutzrechtlich ist zwischen dem Verantwortlichen und dem Auftragsverarbeiter zu unterscheiden. Verantwortlich ist, wer über Zwecke und Mittel der Verarbeitung entscheidet; das ist in der Regel das Unternehmen, dessen Daten gesichert werden. Der Dienstleister, der Sicherungen im Auftrag speichert, handelt nach dessen Weisung. Die Verantwortung für die Rechtmäßigkeit der Verarbeitung und für die Auswahl geeigneter Maßnahmen verbleibt beim Verantwortlichen, auch wenn er Aufgaben delegiert.

Daneben empfiehlt sich eine interne Klärung der Zuständigkeiten. Wer legt Aufbewahrungsfristen fest? Wer entscheidet über Löschanforderungen, die Sicherungen betreffen? Wer verwaltet Zugangsdaten zur Backup-Verwaltung und wer prüft Wiederherstellungstests? Unklare Zuständigkeiten sind in der Praxis häufiger Ursache für Lücken als fehlende Technik. Eine kurze, schriftliche Zuordnung, die bei Personalwechseln aktualisiert wird, schafft hier Verbindlichkeit und dient zugleich als Baustein für den Nachweis der Rechenschaftspflicht.

Setzen Sie mehrere Dienstleister ein, etwa für Betrieb, Backup und Support, prüfen Sie außerdem, wie Unterauftragsverhältnisse geregelt sind und wer im Vorfall Ansprechpartner ist. Das verhindert, dass im Ernstfall Zeit mit der Klärung von Zuständigkeiten verloren geht.

Angaben zur Plattform

Der Cloud-Speicher der Plattform liegt im Rechenzentrum in Frankfurt am Main, optional gespiegelt, in der Regel nach Berlin gegen Aufpreis. Die Übertragung erfolgt verschlüsselt per TLS, die Speicherung ist verschlüsselt, optional zusätzlich pro Backup-Archiv. Aufbewahrungsfristen legen Sie im Backup-Plan selbst fest, auf unterstützten Zielen lassen sich Sicherungen für einen Zeitraum sperren. LCube bietet Kunden einen Auftragsverarbeitungsvertrag an; zwischen LCube und dem Plattformhersteller besteht ebenfalls ein solcher Vertrag.

Die Funktion Compliance und Berichte bewertet Sicherheitsmaßnahmen fortlaufend anhand anerkannter Rahmenwerke, ist aber kein Compliance-Nachweis im rechtlichen Sinn. Ob die Lösung Ihre datenschutzrechtlichen Anforderungen erfüllt, prüfen Sie im Einzelfall, am besten gemeinsam mit Ihrer oder Ihrem Datenschutzbeauftragten. Eine Rechtsberatung können wir nicht leisten.

Checkliste für die Praxis

Aus den vorangegangenen Abschnitten lässt sich eine Prüfreihenfolge ableiten, die Sie mit Ihrer oder Ihrem Datenschutzbeauftragten durchgehen können:

• Welche personenbezogenen Daten liegen in welchen Sicherungen, und sind die Backups im Verarbeitungsverzeichnis erfasst?
• Ist ein AVV mit dem Dienstleister geschlossen, und sind Unterauftragsverarbeiter, Speicherort und Zugriffe geprüft?
• Sind Aufbewahrungsfristen und Sperrfristen festgelegt, und ist das Löschkonzept auf Sicherungen ausgedehnt?
• Sind Verschlüsselung, Zugriffsrechte und der Schutz der Backup-Verwaltung geregelt?
• Wird die Wiederherstellung regelmäßig getestet, und sind die Ergebnisse dokumentiert?
• Existiert ein Ablauf für Vorfälle, einschließlich Bewertung und gegebenenfalls Meldung?